Questions-réponses - recommandation relative aux pixels dans les courriers électroniques de la CNIL 22 juillet 2026 La CNIL répond aux principales interrogations des professionnels sur la mise en œuvre de sa recommandation sur les pixels. Diminuer la taille de la police Augmenter la taille de la police Le champ d’application 1. Les liens traçants sont-ils couverts par la recommandation ?
Non, pas directement. Toutefois, la recommandation fournit des principes permettant aux acteurs recourant à cette technologie d’évaluer leur conformité. Les liens « traçants » sont des liens hypertextes contenant un identifiant ou un autre paramètre permettant de détecter les clics sur des contenus ou liens.
Lorsqu’ils sont intégrés dans un courriel, ils permettent d’associer ces actions au destinataire du message. Ils sont notamment utilisés pour mesurer les clics sur un contenu, suivre les interactions ou établir des statistiques d'utilisation. Bien que les liens « traçants » ne soient pas directement visés par la recommandation, plusieurs éléments doivent être pris en compte : Comme d’autres technologies de traçage (cookies, empreinte numérique), ils impliquent des opérations de lecture et/ou d’écriture sur le terminal de l’utilisateur.
À ce titre, les acteurs qui les utilisent doivent respecter l’article 82 de la loi Informatique et Libertés en plus du RGPD (comme le rappellent les lignes directrices n° 02/2023 du Comité européen de la protection des données (CEPD)). Pour comprendre les obligations applicables à cette technologie, il est nécessaire de déterminer, au regard des objectifs (ou finalités) poursuivis, si ces opérations sont nécessaires au service fourni ou non. Pour rappel, les opérations strictement nécessaires à la fourniture d’un service explicitement demandé par l’utilisateur ou ayant pour seule finalité de permettre ou de faciliter la communication électronique peuvent bénéficier d’une exemption à l’obligation de recueillir le consentement.
Exemple : la recommandation relative aux pixels dans les courriers électroniques cite un exemple dans lequel l’usage d’un lien « traçant » est exempté de consentement : il s’agit de l’utilisation d’un lien « traçant » permettant le retrait simple et sécurisé du consentement (voir l’encadré page 8 de la recommandation). Dans ce cas, le lien est considéré comme strictement nécessaire à la fourniture du service expressément demandé par l'utilisateur. La recommandation « cookies et autres traceurs » et la recommandation relative aux pixels dans les courriers électroniques constituent des ressources utiles pour faire cette analyse et réfléchir, lorsque c’est nécessaire, aux modalités de recueil du consentement.
2. La CNIL peut-elle uniquement intervenir à l’égard d’acteurs exclusivement établis sur le territoire français (expéditeurs de courriels et/ou fournisseurs d’outils d’envoi de courriels) ? Non, pas uniquement.
La CNIL peut contrôler et sanctionner des acteurs établis en France, dans un autre État membre de l'Union européenne (UE) ou en dehors de l'UE, si les conditions d'application de la loi Informatique et Libertés sont réunies. C'est notamment le cas lorsque le recours aux pixels de suivi est effectué dans le cadre des activités d'un établissement situé en France. Les dispositions de la loi peuvent également s'appliquer à un acteur qui n'est pas établi dans l'Union européenne lorsque les pixels sont utilisés pour suivre le comportement de personnes se trouvant sur le territoire français.
En outre, s'agissant de l'application de l'article 82 de la loi Informatique et Libertés relatif aux opérations de lecture et d'écriture sur les terminaux, la CNIL est compétente pour contrôler les manquements concernant les utilisateurs situés en France. Le mécanisme de coopération européen (guichet unique) ne s'applique pas à ces contrôles. 3.
Certains courriels sont-ils exclus du champ d’application de la recommandation (par exemple, les courriels envoyés aux salariés sur leurs adresses professionnelles ou envoyés sur des adresses électroniques génériques) ? Non. La recommandation s’applique à tout recours à des traceurs dans les courriels, quel que soit le contexte dans lequel ceux-ci sont envoyés.
Elle s’applique donc indépendamment de la nature de l’organisme expéditeur ou la qualité du destinataire (par exemple, un client, un prospect, un salarié, etc.). En revanche, l'application des principes énoncés par la recommandation et l'appréciation des obligations qui en découlent (nécessité de recueillir un consentement ou non) peut dépendre des circonstances propres à l’utilisation de ces traceurs (finalités poursuivies, catégorie de courriels, etc.). La responsabilité des acteurs 4.
Quelles sont les obligations des prestataires s’agissant de l’utilisation des pixels (service d’envoi de courriels, service de location des listes de diffusion et d’envoi de courriels, fournisseur de la technologie de suivi) ? Tout dépend de leur qualification pour les opérations de traitement liées aux pixels (voir partie 2.2 de la recommandation). Lorsque les pixels sont insérés exclusivement pour le compte de l’expéditeur, les prestataires agissent comme sous-traitants pour ces opérations.
Ils doivent notamment traiter les données sur instruction du responsable du traitement, mettre en œuvre des mesures de sécurité appropriées et assister ce dernier dans le respect de ses obligations (article 28 du RGPD). Par ailleurs, les prestataires sont invités à concevoir et paramétrer leurs solutions de manière à permettre à leurs clients de respecter la réglementation applicable. À ce titre, ils devraient notamment proposer des fonctionnalités facilitant la désactivation des traceurs, la gestion différenciée des destinataires au sein des listes ainsi que la gestion de listes de diffusion sur la base d’un signal de consentement lorsque celui-ci est requis, ainsi que le respect du principe de protection des données dès la conception et par défaut.
Les fournisseurs, peuvent, de manière optionnelle, fournir des fonctionnalités de recueil du consentement. Lorsque les prestataires utilisent également les pixels pour leurs propres finalités (amélioration de service, de la pertinence de leurs listes de diffusion, etc.), ils peuvent être qualifiés de responsable conjoint avec l’expéditeur qui accepte contractuellement ces opérations. Ils doivent répartir leurs obligations de manière claire et transparente, notamment en matière d’information et de respect des droits (article 26 du RGPD).
En pratique, celui qui est en contact avec les personnes sera en charge de recueillir le consentement au pixel : par exemple, il peut s’agir de l’expéditeur lors de la collecte de l’adresse électronique ou du prestataire de location des listes de diffusion et d’envoi de courriels lors de l’envoi d’un courriel sollicitant le consentement au pixel. Dans tous les cas, celui qui « délègue » le recueil du consentement ne peut se limiter à une clause dans le contrat pour apporter la preuve du consentement. Il doit pouvoir démontrer que le consentement a été valablement recueilli, pour son compte (ce qui implique de réaliser des vérifications par le biais d’audits, par exemple).
Les pixels exemptés Délivrabilité 5. Dans quels cas les pixels intégrés pour assurer la délivrabilité des courriels nécessitent-ils, ou non, un consentement des personnes ? Les pixels utilisés pour la délivrabilité doivent répondre à l’ensemble des conditions mentionnées dans la recommandation pour être exemptés de consentement (partie 3.2 de la recommandation).
À l'inverse, le consentement est requis dès lors que l'une de ces conditions n'est pas remplie. Il peut, par exemple, s'agir des situations suivantes : Le pixel collecte des informations qui ne sont pas strictement nécessaires à la seule finalité de délivrabilité. Par exemple, si le pixel permet également de connaître l'heure d'ouverture des courriels ou toute autre information allant au-delà de ce qui est nécessaire.
Le courriel dans lequel le pixel est inséré ne correspond pas / ne se rattache pas à un service explicitement demandé par l'utilisateur. Par exemple, un courriel de prospection envoyé sur le fondement de l'exception applicable aux produits ou services analogues (article 34-5 du code des postes et des communications électroniques ou CPCE) ne peut pas être considéré comme un service demandé par l'utilisateur. 6.
Est-il possible d’utiliser les données collectées à l’aide de pixels exemptés afin d’établir une statistique globale de taux d’ouverture d’une campagne sans consentement ? Oui. Lorsque des données sont collectées au moyen d'un pixel, que cette collecte soit soumise au consentement ou bénéficie d'une exemption, leur réutilisation ne nécessite pas de consentement si elles ont été préalablement anonymisées de manière effective, par exemple via un processus d’agrégation.
Des données collectées par un pixel exempté peuvent ainsi, par exemple, être utilisées pour établir une statistique globale du taux d'ouverture d'une campagne. Le traitement consistant à anonymiser les données reste soumis au RGPD. 7.
Un pixel peut-il bénéficier de l’exemption lorsque des données supplémentaires sont collectées (user-agent, adresse IP, etc.), si ces données sont anonymisées à bref délai ? Pour pouvoir bénéficier de l’exemption décrite par la recommandation, le responsable du traitement doit démontrer que les opérations effectuées ont vocation à se limiter à ce qui est strictement nécessaire pour adapter la fréquence ou arrêter l’envoi des courriels aux destinataires dits « inactifs ». En principe, la seule donnée nécessaire à cette fin est la date de dernière ouverture du courriel sauf si l’envoyeur peut documenter qu’il a besoin de conserver d’autres données pour atteindre cet objectif.
Le fait que des données supplémentaires, telles que l'adresse IP ou le user-agent , soient rendues anonymes ou supprimées peu après leur collecte ne remet pas en cause le fait qu'elles ont été collectées au-delà de ce qui est nécessaire pour assurer la délivrabilité. Cette anonymisation ne permet donc pas de bénéficier de l'exemption. 8.
Quelles conséquences tirer d’une absence d’ouverture des courriels ? Dans le cadre de l’exemption relative à la délivrabilité, l’absence d’ouverture des courriels doit amener l’expéditeur à considérer que le canal de communication concerné présente une faible efficacité pour atteindre le destinataire. En conséquence et en fonction du type de communication concernée, il peut, par exemple : cesser les envois face à l’absence d’intérêt de la personne et la retirer de la base de diffusion ; diminuer la fréquence des envois pour réduire les sollicitations envers la personne et favoriser une lecture des informations les plus importantes ; utiliser des canaux de communication alternatifs pour contacter la personne (par exemple, via SMS si les conditions légales permettant d’utiliser ce canal sont réunies).
La CNIL invite les acteurs à documenter le respect des conditions posées par la recommandation (par exemple, en mesurant le taux de désinscription des bases à la suite de l’absence d’intérêt des personnes). 9. L’ouverture d’un courriel constitue-t-elle un contact au sens du référentiel de la CNIL sur la gestion des activités commerciales ?
Non. Si l’ouverture d’un courriel permet de qualifier un utilisateur d’« actif » (par opposition à un utilisateur « inactif ») cette notion se comprend dans le contexte spécifique de l’objectif de délivrabilité visé par la recommandation relative aux pixels dans les courriers électroniques. Elle n’est pas transposable au référentiel relatif à la gestion des activités commerciales : dans ce contexte, la règle selon laquelle la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect continue de s’appliquer (partie 7 du référentiel relatif aux traitements de données personnelles mis en oeuvre aux fins de gestion des activités commerciales).
10. Est-il possible d’utiliser un pixel de suivi « mixte » poursuivant à la fois une finalité exemptée et une finalité non-exemptée ? Oui.
Un même pixel peut poursuivre plusieurs finalités dont certaines sont exemptées de consentement et d'autres soumises au consentement, en application de l'article 82 de la loi Informatique et Libertés. Dans ce cas, les finalités exemptées peuvent être mises en œuvre sans consentement, sous réserve que les conditions de l'exemption soient remplies. En revanche, les finalités soumises au consentement ne peuvent être poursuivies qu'après le recueil du consentement valide de l'utilisateur.
Dans tous les cas, un pixel ne peut pas être déposé sans poursuivre de finalité. Il doit, dès son dépôt, répondre à au moins une finalité déterminée. Il n'est donc pas possible de déposer un pixel uniquement dans l'attente d'un éventuel consentement qui permettrait, ultérieurement, de l'utiliser.
11. L’utilisation de pixels exemptés de consentement doit-elle faire l’objet d’une information ? Un utilisateur peut-il s’opposer à un pixel exempté de consentement ?
Les pixels impliquent généralement des traitements de données personnelles. Ces traitements sont soumis à l’ensemble des dispositions pertinentes du RGPD. Le responsable du traitement devra donc s’assurer de respecter les droits des personnes tels que prévus aux articles 12 à 22 du RGPD.
Ainsi : Si l’article 82 de la loi Informatique et Libertés n’impose pas d’informer les utilisateurs sur l’utilisation de tels traceurs, la CNIL recommande qu’ils soient informés de leur existence afin d’assurer une transparence sur ces opérations. Cette information peut être délivrée au sein de la politique relative aux cookies. Par ailleurs, les personnes doivent être informées de tous les traitements de données personnelles mis en œuvre, conformément au RGPD.
Le responsable du traitement devra mettre à la disposition des utilisateurs un mécanisme lui permettant de s’opposer au traitement de ses données personnelles dès lors que le traitement est fondé sur l’intérêt légitime (article 6.1.f du RGPD). Ce mécanisme doit être aisément accessible afin de faciliter l’exercice des droits. Exemption de consentement relative à la sécurité 12.
L’ensemble des conditions applicables à l’exemption relative à la délivrabilité s’appliquent-elles également à l’exemption liée à la sécurité ? Non. Uniquement en partie.
Les conditions relatives à la qualification du courriel de service explicitement demandé par l’utilisateur et à la limitation, en principe, de la collecte à la date de dernière ouverture du courriel s’appliquent à l’exemption liée à la sécurité. En revanche, celles qui sont liées à la diminution de la fréquence ou l’arrêt des envois des courriels aux destinataires dits « inactifs » (nettoyage des bases) sont propres à l’exemption de délivrabilité. Elles ne concernent pas à l’exemption liée à la sécurité.
13. L’exemption relative à la sécurité s’étend-elle à la lutte contre la fraude en général, par exemple la lutte contre les bots informatiques ? Non.
Les traceurs utilisés à des fins de lutte contre la fraude, de manière générale, n’entrent pas dans les exemptions prévues par l’article 82 de la loi Informatique et Libertés. Cependant, la CNIL considère que cela peut être le cas, dans certaines hypothèses particulières, lorsque les mesures de sécurité sont centrées sur l’utilisateur. Exemples de traceurs liés à la sécurité pouvant être exemptés de consentement : Les traceurs destinés à assurer la sécurité d’un mécanisme d’authentification de l’utilisateur (par exemple, en limitant les tentatives d’accès robotisées ou inattendues), qui peuvent être considérés comme nécessaires au service de communication en ligne demandé par l’utilisateur.
Dans le cadre des courriels, les pixels dans les courriels d’authentification ou les courriels de réinitialisation des mots de passe, qui pourraient faire l’objet d’une tentative d’interception. À l’inverse, les pixels visant à lutter contre la manipulation d’inventaire publicitaire ne peuvent relever de cette exemption. Or, le recueil du consentement n’est souvent pas adapté pour cette finalité : la CNIL recommande donc de privilégier des méthodes ne reposant pas sur l’accès aux terminaux des utilisateurs.
Courriels concernés par les exemptions 14. Qui sont les organismes visés par le terme « administration » employé dans la recommandation ? Il s’agit des organismes de droit public ou privé dont les courriels intégrant des pixels de suivi à des fins de « délivrabilité » sont envoyés dans le cadre de l’exercice d’une mission de service public, que cette mission soit exercée à titre principal ou accessoire.
15. Quelle articulation entre le régime applicable en matière de prospection commerciale et l’exemption relative à la délivrabilité ? Le régime applicable à la prospection commerciale et celui applicable aux pixels de suivi répondent à des règles distinctes : la prospection commerciale par courriel relève de l’article L.
34-5 du Code des postes et des communications électroniques (CPCE) ; les pixels de suivi sont encadrés par l’article 82 de la loi Informatique et Libertés. Lorsqu'un courriel de prospection est envoyé sur la base du consentement préalable de son destinataire, ce courriel peut, en principe, être considéré comme un service explicitement demandé par l'utilisateur. Les pixels utilisés aux seules fins d'assurer sa délivrabilité peuvent alors bénéficier de l'exemption de consentement, sous réserve que l'ensemble des conditions rappelées par la recommandation soient respectées.
En revanche, lorsqu'un courriel est envoyé sans consentement préalable sur le fondement de l'exception applicable à la prospection de produits ou services analogues, il ne peut pas être considéré, de ce seul fait, comme ayant été explicitement demandé par l'utilisateur. Les pixels de suivi utilisés pour assurer sa délivrabilité ne peuvent donc pas bénéficier de cette exemption et sont, en principe, soumis au recueil du consentement prévu par l'article 82 de la loi. Ainsi, le fait qu'un courriel puisse être envoyé sans consentement au titre des règles applicables à la prospection commerciale ne signifie pas que les pixels de suivi qu'il contient sont eux-mêmes exemptés de consentement.
16. Les courriels suivants sont-ils des courriels dits « transactionnels », au sens de la recommandation ? À noter : les courriels transactionnels ne sont pas les seuls pour lesquels les pixels insérés peuvent être exemptés de consentement.
Le critère déterminant est que le courriel soit demandé par l’utilisateur ou se rattache à un service demandé par ce dernier. C’est notamment le cas de certains courriels auxquels l'utilisateur a consenti, s’ils correspondent au service qu'il a demandé et que les autres conditions de l'exemption prévues par la recommandation sont réunies. Un courriel de confirmation d’achat ou de souscription à un service Oui.
Il s’agit d’un message déclenché par une action spécifique de l’utilisateur (par exemple, l’achat), à caractère informatif et fonctionnel, nécessaire à l’exécution de la relation contractuelle. En revanche, il ne doit pas contenir une part d’éléments promotionnels (par exemple, mise en avant d’offres, incitation à l’achat, promotion de services) car, dans ce cas, il perdrait son caractère « transactionnel ». Un pixel de suivi dans ce type de courriel peut donc être exempté de consentement préalable si les autres conditions de l'exemption prévues par la recommandation sont réunies.
Un courriel de « renouvellement » d’abonnements Oui. Il s’agit d’un message qui reste lié à l’exécution ou à la poursuite d’une relation contractuelle initiée par l’utilisateur lorsqu’il le reçoit alors que son abonnement arrive prochainement à expiration. Un pixel de suivi dans ce type de courriel peut donc être exempté de consentement préalable si les autres conditions de l'exemption prévues par la recommandation sont réunies.
Un courriel de relance panier Non. Il s’agit de courriels promotionnels qui relèvent de l